Política de privacidad
Última actualización: 9 de junio de 2026
1. Responsable del tratamiento
- Responsable: Alberto C. Fojo Eiras (persona física, trabajador autónomo)
- NIF: 76414741R
- Domicilio: Estrada de Viveiro 62, Porto do Barqueiro, 15337 Mañón (A Coruña)
- Correo de contacto en materia de protección de datos: alberto@tremen.dev
- Delegado de Protección de Datos (DPD): no designado.
El tratamiento no obliga a designar DPD: no es a gran escala ni recae sobre las categorías del art. 37 RGPD / art. 34 LOPDGDD.
2. Qué datos tratamos, con qué fin y con qué base jurídica
Tratamos únicamente los datos necesarios para prestar el servicio. Las categorías de datos de los usuarios de la plataforma son:
| Categoría | Datos | Finalidad | Base jurídica (art. 6 RGPD) | Conservación |
|---|---|---|---|---|
| Cuenta | Correo electrónico, contraseña (cifrada), identificador de usuario | Crear y gestionar la cuenta, autenticación, acceso al servicio | Ejecución del contrato (6.1.b) | Mientras la cuenta esté activa; tras la baja, anonimización (ver §6) |
| Perfil de emisor | Nombre/marca, NIF, domicilio, email, IBAN y entidad bancaria, logotipo | Configurar la emisión de facturas, presupuestos y contratos del usuario | Ejecución del contrato (6.1.b) | Ídem; los datos volcados en documentos emitidos se conservan por obligación legal |
| Suscripción y pago | Identificador de cliente en la pasarela, estado y fechas de la suscripción | Gestionar el alta, cobro y renovación de la suscripción | Ejecución del contrato (6.1.b) | Mientras dure la relación + plazos fiscales/contables |
| Uso y seguridad | Dirección IP, datos de sesión, registros de auditoría y de actividad de administración | Seguridad, prevención del fraude, integridad e inmutabilidad exigida por la normativa antifraude | Interés legítimo (6.1.f) y obligación legal (6.1.c) | Por el plazo exigido a los registros de auditoría/antifraude |
| Soporte | Comunicaciones que el usuario nos dirige | Atender consultas e incidencias | Ejecución del contrato / interés legítimo | Mientras sea necesario para la gestión |
Datos de pago: el cobro de la suscripción lo procesa Stripe como proveedor de pago. tremen.phis no almacena ningún dato de la tarjeta; los gestiona directamente Stripe conforme a sus propias políticas y al estándar PCI-DSS.
Datos especialmente protegidos: el servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD). El usuario se compromete a no introducirlas salvo que cuente con base jurídica propia.
3. Datos de terceros que el usuario introduce (clientes del usuario)
Cuando el usuario da de alta a sus propios clientes y emite documentos (facturas, presupuestos, contratos), introduce datos personales de terceros (p. ej. nombre, NIF, domicilio, email del representante). Respecto a esos datos:
- El usuario es el responsable del tratamiento y debe disponer de base jurídica e informar a sus clientes.
- tremen.phis actúa como encargado del tratamiento (art. 28 RGPD) y los trata solo siguiendo las instrucciones del usuario, según el contrato de encargo del tratamiento (ver §9).
4. Plazos de conservación
Conservamos los datos mientras la relación contractual esté vigente. Tras la baja, los datos se someten al proceso de anonimización no destructiva de la plataforma (ver §6): se anonimizan o suprimen salvo aquellos que deban conservarse por obligación legal —en particular los datos volcados en documentos fiscales emitidos y los registros de auditoría—, que se mantienen bloqueados durante los plazos legales (normativa fiscal y antifraude, p. ej. conservación de 4 años de los registros Veri*Factu).
5. Destinatarios y encargados del tratamiento (subencargados)
No cedemos datos a terceros salvo obligación legal. Para prestar el servicio nos apoyamos en proveedores que actúan como encargados del tratamiento, con contrato conforme al art. 28 RGPD:
| Proveedor | Servicio | Ubicación de los datos |
|---|---|---|
| Supabase | Base de datos, autenticación y almacenamiento de archivos (logotipos) | Unión Europea (Irlanda, eu-west-1) |
| Vercel | Alojamiento y ejecución de la aplicación | UE / EE. UU. — transferencias amparadas por el DPA de Vercel con cláusulas contractuales tipo (SCC) de la Comisión Europea (art. 46 RGPD) |
| Stripe | Procesamiento de pagos de la suscripción | Stripe Payments Europe, Ltd. (Irlanda); transferencias amparadas por su DPA con SCC (art. 46 RGPD) |
A fecha de hoy no hay proveedor de envío de correo electrónico transaccional integrado. Si se incorpora un nuevo subencargado, se añadirá a esta lista.
6. Supresión y anonimización
Por exigencias de inmutabilidad fiscal (Ley Antifraude), determinados datos no pueden borrarse físicamente mientras dure su obligación de conservación. Por ello, la baja y el ejercicio del derecho de supresión se materializan mediante anonimización no destructiva: se eliminan o anonimizan los datos identificativos cuando es posible y se bloquea (conservación restringida) lo que la ley obliga a mantener, impidiendo su uso ordinario.
7. Derechos de las personas interesadas
Puedes ejercer, de forma gratuita, los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado (sin efecto retroactivo). Para ejercerlos, escribe a alberto@tremen.dev indicando el derecho que deseas ejercer; podremos solicitarte que acredites tu identidad.
Tienes derecho a reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es) si consideras que el tratamiento no se ajusta a la normativa.
8. Seguridad
Aplicamos medidas técnicas y organizativas apropiadas (art. 32 RGPD) para proteger los datos: cifrado en tránsito, control de acceso multi-inquilino mediante aislamiento a nivel de base de datos (RLS), registros de auditoría y copias de seguridad gestionadas por nuestros proveedores. Ningún sistema es infalible; en caso de brecha de seguridad que afecte a datos personales, actuaremos conforme a los arts. 33 y 34 RGPD.
9. tremen.phis como encargado del tratamiento
Para los datos que los usuarios gestionan de sus propios clientes (§3), tremen.phis actúa como encargado del tratamiento. Las condiciones se regulan en el contrato de encargo del tratamiento (DPA), accesible para los usuarios y parte integrante de las condiciones del servicio.
10. Cambios en esta política
Podemos actualizar esta política para adaptarla a cambios normativos o del servicio. Publicaremos la versión vigente en el Sitio con su fecha de última actualización y, si los cambios son sustanciales, lo comunicaremos a los usuarios.